摘要一、课程目标 本节课主要学习如何使用未公开的NT API函数 获取ProcessBasicInformation信息类，从而直接访问PEB结构并检测其中的反调试相关字段。通过本课的学习，你将能够： 1. 深入理解ProcessBasicInformation信息类的作用和结构 2. 掌握通过NT API直接获取PEB指针的方法 3. 学会访问PEB中各种反调试相关字段 4. 理解该技术与其他PEB检测方法的关系 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 ProcessBasicInformation信息类概述 ProcessBasicInformation是 函数支持的最基本的信息类，其值为0。该信息类返回一个 结构，包含了进程的基本信息。 3.2…
摘要一、课程目标 本节课主要学习如何使用未公开的NT API函数 检测ProcessDebugObjectHandle信息类，这是反调试技术中一个较为高级的检测手段。通过本课的学习，你将能够： 1. 深入理解ProcessDebugObjectHandle信息类的作用和特点 2. 掌握调用未公开NT API函数检测调试对象句柄的方法 3. 学会区分ProcessDebugObjectHandle与其他调试检测方法的差异 4. 理解该技术在反调试检测中的应用 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 ProcessDebugObjectHandle信息类概述 ProcessDebugObjectHandle是…
摘要一、课程目标 本节课主要学习如何使用未公开的NT API函数 检测ProcessDebugFlags信息类，这是反调试技术中另一个重要的检测手段。通过本课的学习，你将能够： 1. 深入理解ProcessDebugFlags信息类的作用和特点 2. 掌握调用未公开NT API函数检测调试标志的方法 3. 学会区分ProcessDebugFlags与ProcessDebugPort的差异 4. 理解该技术在反调试检测中的应用 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 ProcessDebugFlags信息类概述 ProcessDebugFlags是…
摘要一、课程目标 本节课主要学习如何使用未公开的NT API函数 检测ProcessDebugPort信息类，这是反调试技术中一个强大的检测手段。通过本课的学习，你将能够： 1. 理解NT API与Win32 API的区别和关系 2. 掌握调用未公开NT API函数的方法 3. 学会使用ProcessDebugPort信息类检测调试端口 4. 理解该技术与其他反调试技术的关系 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 NT API概述 NT API（Native API）是Windows NT内核提供的原生API函数集合，它们比Win32 API更底层，功能更强大。许多Win32 API函数实际上是对NT API函数的封装。 常见的NT API函数命名规则： - 以 开头：如 - 以…
摘要一、课程目标 本节课主要学习如何检测PEB（Process Environment Block）结构中的ProcessHeap字段及相关堆标志，这是反调试技术中一个重要的检测手段。通过本课的学习，你将能够： 1. 深入理解PEB结构中ProcessHeap字段的作用和结构 2. 掌握直接读取PEB中ProcessHeap指针及堆标志的方法 3. 学会在不同架构（x86/x64）下访问ProcessHeap相关信息 4. 理解堆标志在调试检测中的意义 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 ProcessHeap字段详解 ProcessHeap是PEB结构中的一个重要指针字段，它指向进程的默认堆（Default…
摘要一、课程目标 本节课主要学习如何通过遍历系统进程列表并检查进程名称来检测常见的调试器进程。这是反调试技术中一种直观且常用的方法。通过本课的学习，你将能够： 1. 掌握遍历系统进程列表的基本方法 2. 学会识别常见的调试器进程名称 3. 理解黑名单检测技术的原理和应用 4. 掌握多种进程遍历技术（Toolhelp32、PSAPI、NT API） 5. 了解该技术的局限性和改进方法 二、名词解释表 三、技术原理 3.1 进程遍历概述 进程遍历是反调试技术中的一种常见方法，通过检查系统中运行的进程列表，查找是否存在已知的调试器进程。这种方法基于一个简单的假设：如果系统中有调试器在运行，那么很可能是用于调试当前程序的。 3.2 常见调试器进程名称 以下是常见的调试器和分析工具进程名称： 经典调试器： -…
摘要一、课程目标 本节课主要学习如何检测PEB（Process Environment Block）结构中的NtGlobalFlag字段，这是反调试技术中一个重要的检测手段。通过本课的学习，你将能够： 1. 深入理解PEB结构中NtGlobalFlag字段的作用和意义 2. 掌握直接读取PEB中NtGlobalFlag标志位的方法 3. 学会在不同架构（x86/x64）下访问NtGlobalFlag字段 4. 理解该技术与其他反调试技术的关系 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 NtGlobalFlag字段详解 NtGlobalFlag是PEB结构中的一个重要字段，用于控制系统的全局调试和诊断行为。当进程在调试器中运行时，系统会自动设置一些调试相关的标志。…
摘要一、课程目标 本节课主要学习如何直接检测PEB（Process Environment Block）结构中的BeingDebugged字段，这是反调试技术中最基础也是最重要的方法之一。通过本课的学习，你将能够： 1. 深入理解PEB结构中BeingDebugged字段的作用和位置 2. 掌握直接读取PEB中BeingDebugged标志位的方法 3. 学会在不同架构（x86/x64）下访问PEB结构 4. 理解该技术与其他反调试技术的关系 5. 了解该技术的检测和绕过方法 二、名词解释表 三、技术原理 3.1 PEB结构详解 PEB（Process Environment Block）是Windows操作系统中一个至关重要的数据结构，包含了进程运行所需的各种信息。在反调试技术中，我们重点关注以下几个字段：…
摘要一、课程目标 本节课主要学习 函数的使用及其在反调试技术中的应用。通过本课的学习，你将能够： 1. 理解 函数的工作原理和用途 2. 掌握检测远程进程是否被调试的方法 3. 学会使用该函数实现跨进程的调试器检测 4. 理解该技术与 的区别和联系 5. 了解该技术的局限性和绕过方法 二、名词解释表 三、技术原理 3.1 CheckRemoteDebuggerPresent函数概述 是Windows API提供的一个函数，声明在 头文件中。与 不同，它可以检测指定进程是否被调试器调试。 函数原型： 参数说明： - ：要检查的进程句柄，需要PROCESSQUERYINFORMATION权限 - ：指向布尔值的指针，用于接收检测结果 返回值： - 如果函数成功执行，返回非零值（TRUE） -…
摘要一、课程目标 本节课主要学习如何手动实现 函数的功能，深入理解其底层原理。通过本课的学习，你将能够： 1. 深入理解PEB（Process Environment Block）结构 2. 掌握直接读取PEB中BeingDebugged标志位的方法 3. 学会使用不同编程语言和方法实现该功能 4. 理解不同架构（x86/x64）下的实现差异 5. 掌握更底层的反调试检测技术 二、名词解释表 三、技术原理 3.1 PEB结构详解 PEB（Process Environment Block）是Windows操作系统中一个重要的数据结构，存储了关于进程的各种信息。在反调试技术中，我们主要关注以下几个字段： 1. BeingDebugged（偏移0x02）：1字节，指示进程是否被调试 2.…